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® Elektromechanisches Bremssystem 

(57) Die Erfindung betrifft em elektromechanisches Brems- g Qt <j 
system, insbesondere fur Kraftfahrzeuge, mit einem Pe- 
dalsimulator (1) und Bremsmodulen (7). Weiterhin ist ein 
Zentralmodul (6) vorgesehen. Die Verbindung zwischen 
den vorgenannten Modulen kann durch einen Datenbus 
(5) erfolgen. Das Zentralmodul (6) wertet Bremswunsch- 
signale einer Sensorik (3) aus und uberpriift, ob Fehler 
vorliegen. Weiterhin gibt das Zentralmodul (6) einen ent- 
sprechenden Bremssollwert aus, basierend auf dem 
Bremswunsch und eventuell hoheren Funktionen wie 
ABS, ASR, usw. Der Bremssollwert wird dann an die 
Bremsmodule (7) weitergeleitet. Die Bremsmodule (7) er- 
mitteln daraufhin entsprechende Ansteuersignale fur die 
Aktoren (8), die in eine Wirkverbindung mit den Radern 
(9) treten, um den Bremswunsch des Fahrers umzusetzen. 
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Beschreibung 


Die Erfindung betrifTt ein elektromechanisches Bremssy- 
stem und ein Verfahren zur Steuerung eines elekromechani- 
schen Bremssys terns, die durch den Einsatz eines Bussy- 5 
stems und durch fehlererkennende Module die Systemsi- 
cherheit bei einer gleichzeitigen kostengiinstigen Realisie- 
rung erhohen. 

Die Untersuchung elektrischer Bremssysteme ist Be- 
standteil der Entwicklungen in der heutigen Bremsentech- 10 
nik. Die Hydraulikzylinder, die heute die Bremsbelage ge- 
gen die Bremsscheibe pressen, werden an jeder Scheibe 
durch einen leistungsfahigen Elektromotor ersetzt. Die elek- 
trische Bremse benotigt keine mechanischen oder hydrauli- 
schen Teile, wie Vakuumbremskraftverstarker oder Tan- 15 
demhauptzylinder. Weiterhin kann die elektrische Bremse 
heutige und auch zukiinftige Funktionen einer Bremse iiber- 
nehmen, wie die Funktionen eines Antiblockiersystems 
(ABS), einer Traktionshilfe oder einer Antriebsschlupfrege- 
lung (ASR), einer Fahrstabilitatsregelung (Electronic Stabi- 20 
lity Program oder ESP) sowie eines automatischen Brem- 
seneingriffs, wie er beispielsweise bei Abstandsregelsyste- 
men vorgesehen sein kann. 

Ein Beispiel fur ein solches System ist in der WO 
95/13946 gezeigt. Dieses sog. elektronische Bremssystem 25 
weist ein Zentralmodul und den Bremskreisen oder Radbau- 
gruppen zugeordnete Bremsmodule auf. Das Zentralmodul 
kann hierbei ABS-/ASR-Berechnungen durchfuhren, kann 
die Bremskraftverteilung einstellen und radspezifische 
Bremsdruck-Sollwerte ermitteln. 30 

Aus der DE 195 29 434 Al (P 7959) ist ein Mikroprozes- 
sorsystem bekannt, bei dem zwei synchron betriebene Zen- 
traleinheiten, die die gleichen Eingangsinformationen erhal- 
ten und das gleiche Programm abarbeiten, auf einem oder 
auf mehreren Chips vorgesehen sind. Die beiden Zentralein- 35 
heiten sind dabei iiber separate Bus-Systeme an die Fest- 
wert- und an die Schreib-Lese-Speicher sowie an Eingabe- 
und Ausgabeeinheiten angeschlossen. Die Bus-Systeme 
sind untereinander durch Treiberstufen bzw. Bypasse ver- 
bunden, die den beiden Zentraleinheiten ein gemeinsames 40 
Lesen und Abarbeiten der zur Verfugung stehenden Daten, 
einschlieBlich von Priifdaten und Befehle ennoglichen. Das 
System ermoglicht eine Einsparung von Speicherplatz. Nur 
eine der beiden Zentraleinheiten ist mit einem vollwertigen 
Festwert- und einem Schreib-Lese-Speicher verbunden, 45 
wahrend die Speicherkapazitat des zweiten Prozessors auf 
Speicherplatze fur Priifdaten beschrankt ist. Zugriff zu alien 
Daten besteht iiber die Bypasse. Dadurch sind beide Zentral- 
einheiten in der Lage, jeweils das vollstandige Programm 
abzuarbeiten. 50 

In den Anmeldungsschriften DE 197 16 197 Al (P 9009) 
und DE 197 20 618A1 (P 9018) sind Mikroprozessorsy- 
steme fur sicherheitskritische Regelungen beschrieben, die 
mit mindestens drei, moglichst auf einem Chip angeordne- 
ten Zentraleinheiten, die das gleiche Programm abarbeiten, 55 
ausgerustet sind. AuBerdem sind Festwertspeicher und 
Schreib-Lese-Speicher mit zusatzlichen Speicherplatzen fiir 
Priifdaten, Eingabe- und Ausgabeeinheiten und Vergleicher 
vorhanden, die die Ausgangssignale der Zentraleinheiten 
auf Ubereinstimrnung uberpriifen. Die Zentraleinheiten sind 60 
iiber Bus-Systeme untereinander verbunden, die den Zen- 
traleinheiten ein gemeinsames Lesen und Abarbeiten der an- 
stehenden Daten, einschlieBlich der Priifdaten und Befehle, 
nach dem gleichen Programm ermoglichen. 

Die Zentraleinheiten sind bei diesen bekannten Systemen 65 
zu zwei vollstandigen Regelungssignalkreisen erweitert und 
derart zusammengeschaltet, daB bei einem Ausfall durch 
Majoritatsentscheid die fehlerhafte Zentraleinheit identifi- 


ziert und eine Notlauffunktion aufrecht erhalten werden 
kann. 

SchlieBlich ist aus der DEW 17 686 Al eine Schal- 
tungsanordnung bekannt, die sich ebenfalls fiir ein sicher- 
heitskritisches Regelungssystem eignet und die zwei- oder 
mehrkreisig aufgebaut ist, wobei jeder Kreis ein komplettes 
Mikroprozessorsystem enthalt, welches die Eingangsdaten 
redundant verarbeitet und beim Auftreten eines Fehlers bzw. 
einer Abweichung zwischen den redundant gewonnenen 
Daten verarbeitungsergebnissen ein Fehlererkennungssignal 
liefert. Bei Fehlererkennung erfolgt ein Ubergang in eine 
Notlauffunktion, in der entweder ein Kreis abgeschaltet oder 
die Aktuatorbetatigung beider Kreise von dem intakten Mi- 
kroprozessorsystem iibernommen wird. Die beiden Systeme 
sind mit eigener Peripherie, bestehend aus Signalerfassung, 
Aktuatorbetatigung und Energieversorgung (7, 8), versehen. 

Der vorliegenden Erfindung liegt die Aufgabe zugrunde, 
ein elektromechanisches Bremssystem und ein Verfahren 
zum Steuern eines elektromechanischen Bremssystems, ins- 
besondere fur Kraftfahrzeuge, zu realisieren, die sicher und 
dabei kostengiinstig aufgebaut sind sowie einen geringen In- 
stallationsaufwand benotigen. 

Diese Aufgabe wird gemaB den Merkmalen der unabhan- 
gigen Patentanspruche gelost. Die abhangigen Paten tan- 
spriiche zeigen vorteilhafte Ausfiihrungsformen und Weiter- 
entwicklungen der Erfindung auf. 

Die Erfindung beruht auf der Uberlegung, daB bei Ver- 
wcndung einer fiir sicherheitskritische Regclungssysteme 
geeigneten, redundant ausgelegten und notlauffahigen 
Schaltungsanordnung der vorgenannten Art auch die die fur 
ein Brake-by- Wire System crforderliche Betriebssicherheit 
gewahrleistet werden kann. Auf eine redundante Auslegung 
der Rechnermodule, die zur Ansteuerung der einzelnen Rad- 
moduie dienen, kann dann verzichtet werden. Fiir die Bus- 
systeme, die die Regelungsschaltung(en) mit den Radmodu- 
len verbinden, ist dann ebenfalls Redundanz entbehrlich. 
Durch mindestens ein Signal, welches AufschluB iiber das 
Raddrehverhalten gibt, wird der Zustand des Radmoduls 
uberwacht; uber einen Abschaltpfad kann das Radmodul im 
Fehlerfall in den sicheren Zustand iiberfuhrt werden. 

ErfindungsgemaB kann ein elektromechanisches Brems- 
system, insbesondere fur Kraftfahrzeuge, einen Pedalsimu- 
lator zum redundanten Erfassen einer Fahrerbetatigung ei- 
nes Bremspedals mittels einer geeigneten Sensorik enthal- 
teri. Weiterhin kann ein Zentralmodul vorgesehen sein, das 
einen Bremssollwert basierend auf den Ausgangssignalen 
der Sensorik ermitteit. Daruber hinaus kann zumindest ein 
Bremsmodul zum Ansteuern von zumindest einer Rad- 
bremse vorgesehen sein, wobei die Ansteuerung basierend 
auf dem Bremssollwert erfoigen kann. Weiterhin ist eine 
Dateniibertragungseinheit vorgesehen, die eine Datenver- 
bindung zwischen dem Zentralmodul und dem Bremsmodul 
herstellt, wobei das Zentralmodul eine Fehlererkennungs- 
schaltung aufweisen kann, die einen Fehler bei der Ermitt- 
lung des Bremssollwerts erkennen kann. 

Wichtig ist, daB das Zentralmodul Notlauffahigkeit be- 
sitzt und dadurch zu der verlangten hohen Betriebssicherheit 
des Systems einen entscheidenden Beitrag leisten kann. 

Das Zentralmodul kann zur Ermittlung des Bremssoll- 
werts hohere Funktionen des Bremssystems beriicksichtigen 
und kann weiterhin zumindest drei redundante Rechner auf- 
weisen, die den Bremssollwert basierend auf den Ausgangs- 
signalen der Sensorik ermitteln. Weiterhin konnen auf zu- 
mindest zwei dieser redundanten Rechner des Zentralmo- 
duls hohere Funktionen (ABS, ASR, ESP . . .) des Bremssy- 
stems implementiert sein. 

GemaB der Erfindung lassen sich sowohl die Radbrems- 
module bzw. die Radbremsen als Einzelsysteme mit einer 
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einfachen Schnittstelle, als auch ein kostengiinstiges Ge- 
samtsystem anbieten. Das gilt insbesondere, wenn das Zen- 
tralmodul im Pedal simulator integriert ist. Weiierhin kann 
mit der erfindungsgemaBen Systemarchitektur ohne weitere 
Nachteile, wie einem erhohten Verkabelungsaufwand oder 5 
einer mangelnden Storsicherheit eine Diagonal- oder eine 
TT-Kreisaufteilung realisiert werden. Der Installationsauf- 
wand fur den Kfz-Hersteller ist minimal und der Verkabe- 
lungsaufwand nur sehr gering. Weiterhin sind klare und ein- 
fache Schnittstellen beim Zenlralmodul und bei den Radmo- 10 
dulen vorgesehen, so daB eine einfache Testbarkeit des Ge- 
samtsystems ermoglicht wird und der Kommunikationsauf- 
wand zwischen den einzelnen Modulen reduziert werden 
kann. Durch kurze Analogleitungen und einem Leistungs- 
verstarker, der nahe dem Aktor vorgesehen ist, ergibt sich 15 
eine hohe aktive und passive Storsicherheit. Weiterhin kann 
erfindungsgemaB eine sehr gcringe Degradation (Funktions- 
verlust) im FehlerfaJI erzielt werden. Zudem ist ein sicher- 
heitskritisches Zuspannen einer Bremse - mit und ohne Vor- 
liegen eines Bremswunsches - infolge eines Fehlers in ei- 20 
nem Rechner, der Leistungselektronik oder des Aktors mit 
Sensoren nicht moglich. 

Im folgenden werden Ausfuhrungsbeispiele der Erfin- 
dung anhand der bei liegenden schematischen Zeichnung 
naher erlautert. 25 

Die Figur zeigt ein schematisches Blockschaltbild gemaB 
einer Ausfiihrungsform der Erfindung. 

Die Figur zeigt einen Pedal simulator 1 mit einem sche- 
matised angedeuteten Bremspedal 2. Das Bremspedal 2 
bzw. die Bewegung des Bremspedals 2 kann beispielsweise 30 
uber eine Sensorik 3, die mindestens drei Sensoren aufweist, 
erfaBt werden. Es konnen z. B. zwei Wegsensoren und ein 
Kraftsensor verwendet werden. Die Ausgangssignale dieser 
Sensorik 3 konnen analoge Ausgangssignale sein. Es ist je- 
doch auch denkbar, daB die Sensorik insgesamt oder teil- 35 
weise Digitalausgaben oder andere Ausgaben oder andere 
MeBgroBen erzeugt. 

Diese Ausgangssignale werden pro Signal (z. B. uber ge- 
trennte Leitungen) zu einem Zentralmodul 6 gefuhrt. und 
dort in getrennten MeBkanalen erfaBt. Diese MeBkanale 40 
konnen nicht dargestellte Analog-/Digital-Wandler aufwei- 
sen, die Analogsignale in Digitalsignale umwandeln kon- 
nen. 

Es ist jedoch auch denkbar, daB die redundanten Signale 
des Pedalsimulators 1 lediglich einfach zum Zentralmodul 6 45 
ubertragen werden und dort jeweils auf zumindest zwei 
MeBkanale aufgeteilt werden. Wenn beispielsweise drei Pe- 
dalsensoren verwendet werden, ist es gunstig, die Signale 
auf drei getrennte MeBkanale bzw. drei getrennte Analog- 
/Digital-Wandler zu fuhren (sofern die Pedalsensoren Ana- 50 
logsignale ausgeben), wobei mindestens zwei der Rechner 
11, 12, 13 des Zentralmoduls 6 die gewandelten Daten erhal- 
ten. Dadurch erhalten die bei den Rechner des Zentralmoduls 
6 identische Eingangsdaten. 

An dieser S telle soil angemerkt werden, daB die vom Pe- 55 
dalsimulator 1 ubertragenen Daten fehlerhaft sein konnen. 
Die Datenkonsolidierung, d. h. die Erkennung defekter Sen- 
soren oder Hardware (z. B. des Verstarkers oder der A/D- 
Wandler) und die Ermittlung des Bremssoll werts erfolgt im 
Zentralmodul 6. 60 

Weiterhin ist je ein Daten bus 5 vorgesehen, welcher das 
Zentralmodul 6 mit je zwei Bremsmodulen 7 verbindet, wo- 
bei die Bremsmodule 7 jeweils ein Aktor/Rad-Paar 8, 9 ent- 
halten. Jedes Aktor/Rad-Paar 8, 9 ist hierbei einem Fahr- 
zeugrad zugeordnet (VR-vome rechts, VL-vorne links, HR- 65 
hinten rechts und HL-hinten links). 

Im folgenden soil nun beispielshaft eine Funklionsbe- 
schreibung der Systemarchitektur gemaB der Figur gegeben 


werden. 

Zusaiiimcnfassend betrifft die Erfindung Architektur- 
Redundanz- und Sicherheitskonzepte fur elektromechani- 
sche Bremssysteme (Brake-by- Wire). Das Bremssystem 
enlhalt den Pedalsimulator 1 mit redundanter Sensorik 3, ein 
dreifach-redundantes Zentralmodul 6 und vier Radbrems- 
module 7. Die Radbremsmodule 7 bestehen aus einem 
Rechner 11 (Rl, R2, R3, R4) einer Leistungselektronik, ei- 
nem Aktor 8, aktorspezifischen Sensoren und einem zuge- 
ordneten Rad 9. Das Zentralmodul 6 und die Radmodule 7 
sind mit mindestens einem Datenbus 5 verbunden. Weiter- 
hin ist das Zentralmodul 6 in einem Gehause 10 des Pedalsi- 
mulators 1 integriert. 

Der Fahrerbremswunsch wird im Pedalsimulator 1 mit 
den beispielsweise oben angefuhrten Sensoren ermittelt, 
wobei die Sensoren bevorzugt redundant und dissimilar auf- 
gebaut sind (z. B. Pedal weg und FuBkraft). Wie ebenso oben 
schon angefuhrt ist, konnen nur diese Sensorsignale einfach 
oder doppelt zum Zentralmodul 6 ubertragen werden. Die 
Signale werden hierbei auf mindestens zwei MeBkanale auf- 
geteilt, so daB eine Redundanz auch hier erzielt werden 
kann. 

Das Zentralmodul 6 kann zunachst derart ausgebildet 
sein, daB alle Funktionen (Grundbremsfunktionen, Uberwa- 
chung des Pedalsimulators 1 und hohere Bremsfunktionen) 
auf alien Rechnern 11, 12, 13 des Zentralmoduls 6 gleich 
sind (diese Ausfiihrungsform ist nicht dargestellt). Aus drei 
Rechenergebnissen wird uber eine fehlertolerante Voter/ 
Monitor-Struktur ein fehlerfreier Ausgangswert ermittelt. 

Damit ergibt sich eine fehlertolerante Struktur fiir diese 
Funktionen. 

Wie in der Figur dargestellt ist, kann auch eine dissimilare 
Aufteilung im Zentralmodul 6 realisiert werden. Hierbei 
sind die hoheren Funktionen (ABS, ASR, ESP usw.) nur auf 
zwei Rechnern 11, 13 irnplernentiert. Die Ermittlung der 
Grund-bremsfunktionen und die Uberwachung des Pedalsi- 
mulators 1 kann auf alien drei Rechnern 11, 12, 13 irnple- 
rnentiert sein. Alle drei Rechner 11, 12, 13 haben ZugrifT auf 
zumindest zwei getrennte MeBkanale (nicht dargestellt). 

Die hoheren Funktionen werden durch einen nicht darge- 
stellten Vergleicher uberwacht und im Fehlerfall werden 
diese Funktionen in den Rechnem 11, 13 abgeschaltet, wo- 
durch eine Fail-Silent-Funktion realisiert wird. Insbeson- 
dere sei angemerkt, daB bei einem Fehlerfall bei der Ermitt- 
lung der hoheren Funktionen naturlich nicht notwendiger- 
weise der gesamte Rechner 11, 13 abgeschaltet werden muB, 
sondem daB es geniigen kann, nur den entsprechenden Pro- 
grammteil zu deaktivieren. Die Ergebnisse der Pedalfunk- 
tionen, d. h. die Ermittlung der Grundbremsfunktionen ohne 
Uberlagerung mit den hoheren Funktionen werden durch 
den Voter/Monitor 4 konsolidiert und uberwacht. Bei Aus- 
fall der hoheren Funktionen wird der Bremssollwert ohne 
eine Uberlagerung durch die hoheren Funktionen direkt an 
die Bremsmodule 7 ausgegeben. 

Wenn ein Fehler nur im Bereich der hoheren Funktionen 
auftaucht, sind nach wie vor noch drei Rechner 11, 12, 13 
fur eine Grundbremsfunktion zur Verfugung, wobei nach 
wie vor ein fehlerhafter Rechner 11, 12, 13 uber den Voter/ 
Monitor 4 isoliert und abgeschaltet werden kann. Der Voter 
4 wurde beispielsweise aus den drei Ausgangen der Rechner 
11, 12, 13 einen Bremssollwert auswahlen. Der Monitor 
wurde dann uberprufen, ob das ausgewahlte Signals im Ver- 
gleich zu den anderen nicht ausgewahlten Signalen ab- 
weicht (sich verschlechtert oder falsch ist) und wurde ein 
anderes Signal als ausgewahltes Signal wahlen, wenn eine 
Abweichung ermittelt wird. 

Die Notwendigkeit, bei einem Fehler zwei der Rechner 
11, 12, 13 abzuschalten, besteht nicht. Die Zuverlassigkeit 
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des Bremssystems ist damit gleich oder hoher als mit der 
Rechnerstruklur mil gleicher Aufteilung, siehe oben. Dies 
gilt naturlich in Verbindung mit dem Vorsehen von zwei 
Energieversorgungen Batl, Bat2. Wurden drei Energiever- 
sorgungen verwendet werden, so konnte bei einer gleichen 5 
Aufteilung (siehe oben) eine nochmalige Erhohung der Red- 
undanz erzielt werden. 

Die Bremsmodule 7 bestehen aus einem Bremsmodul- 
rechner 11 (Rl, R2, R3, R4) der Leistungselektronik, dem 
Aktor 8 mit den aktorspezifischen Sensoren (z. B. zur Erfas- 10 
sung des Aktorstroms, der Aktorspannkraft und der Aktor- 
position) und einer testbaren Abschalteinheit 14 fur die 
Spannungsversorgung des Aktors 8. 

Durch die exteme Abschalteinheit 14 ist sichergestellt, 
daB ein Fehler in der Leistungselektronik die Funktion der 15 
Abschaltung nicht beeinfluBt. 

Redundanz innerhalb des Radmoduls 7 ist nicht notwen- 
dig, da es vom Zentralmodul 6 iiberwacht wird. Erkennt das 
Radmodul 7 selbstandig Fehler (z. B. durch elektronische 
Uberwachung der Aktoransteuerung), so kann eine weitere 20 
Aktoransteuerung durch entsprechende Ansteuerung der 
Leistungselektronik im Radmodul 7 ausgeschlossen wer- 
den. 

Das Zentralmodul 6 kann iiber entsprechende Riickmel- 
deleitungen vom Radmodul 7 den Status des Radmoduls 25 
iiberwachen. Vorteilhaft wird hierzu eine Busstruktur, z. B. 
CAN, eingesetzt. 

Weiterhin kann das Zentralmodul 6 Radsensorik, die vom 
Radmodul 7 nicht durch Fehler beeinfluBt werden kann, zur 
Uberwachung nutzen; beispielsweise kann mit Hilfe der 30 
Raddrehzahlgeber eine Uberwachung des Bremsinomentes 
durchgefuhrt werden. 

Aus diesen Grunden ist im Radmodul 7 und in den Ver- 
bindungen zum Radmodul keine Redundanz erforderlich. 
Es rnussen lediglich geeignete Einrichtungen vorhanden 35 
sein, die dem Zentralmodul 6 zur Abschaltung des Lei- 
stungspfades fur ein oder mehrere Radmodule zur Verfu- 
gung stehen. 

Der Bremsmodulrechner des Bremsmoduls 7 braucht 
nicht fail-safe ausgebildet zu werden, d. h. das Bremsmodul 40 
7 erfiillt seine spezifizierte Funktion oder schaltet sich im 
Fehlerfall selbst ab und meldet die Fehlfunkuon oder verhalt 
sich im Falle eines Rechnerfehlers still (failsilent). Als 
Uberwachung sebene ist das Zentralmodul 6 vorhanden. 

An dieser S telle sei weiterhin angemerkt, daB die Brems- 45 
module 7 auch jeweils fur zwei Aktor/Rad-Paare 8, 9 ver- 
wendet werden konnen (hierbei wiirde es sich dann um ein 
Kreismodul handeln). 

Der Datenbus 5 ist zumindest einfach ausgefuhrt und mit 
je zwei Radmodulen 7 und Modul 6 verbunden. 50 

Als Energieversorgung sind zumindest zwei unabhangige 
Energieversorgungsquellen Batl, Bat2 notwendig. Bei den 
Bremsmodulen 7 kann die Aufteilung wie in der Figur dar- 
gestellt diagonal oder auch vome/hinten erfolgen. 

Zusarnmenfassend ist erfindungsgemaB ein Funktionsver- 55 
lust je nach Fehler nichl vorhanden oder nur sehr gering. 
Nur bei einem Ausfall einer Energieversorgung Batl, Bat2, 
oder KurzschluB samtlicher Busleitungen zu zwei Radmo- 
dulen 7 fallen zwei Bremsen aus. Hierbei wiirde es sich um 
einen Kreisausfall handeln. Ansonsten ist immer nur eine 60 
Radbremse 7 betroffen oder bei einem Ausfall innerhalb des 
Zentralmoduls 6 maximal die hoheren Funktionen bei vol- 
lem Erhalten der Grundbremsfunktionen. Ist die Funktions- 
aufteilung fiir alle drei Rechner 11, 12, 13 des Zentralmo- 
duls 6 gleich, so hat ein Rechnerfehler gar keinen Funkti- 65 
onsverlust zur Folge. Bei einem Bus Fehler konnen die 
Bremsen des jeweiligen Aktor/Rad-Paars 8, 9 ausfallen. 

Die Systemarchitektur ist z. B. so konfigurierbar, daB bei 
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einem Fehler nie die Hinterradbremsen allein zur Verfugung 
stehen. Die Systemarchitektur gewahrt hierbei eine hohe 
Bremsverzogerung in alien Fehlerfallen. 

Weiterhin gewahrleistet die erfindungsgemaBe Systemar- 
chitektur, daB keine Fehlerfortpflanzung auftritt. Ein Fehler 
kann erkannt werden, bevor er sich auf andere Funktionen 
oder Module auswirkt. Weiterhin liegt eine hohe EMV-Si- 
cherheit vor, da die Storaustrahlung minimiert ist. Die Lei- 
stungselektronik zum Ansteuern der Aktoren 8 ist im jewei- 
ligen Radmodul 7 integriert und am oder nahe des jeweili- 
gen Aktors 8 montiert. Weiterhin ist die Storfestigkeit hoch, 
besonders wenn das Zentralmodul 6 nahe am oder im Pedal- 
simulator 1 verbaut wird, so daB dann der analoge Signal- 
ubertragungsweg kurz ist. 

Weiterhin sei angemerkt, daB die oben beschriebenen er- 
findungsgemaBen Funktionen und Systeme bzw. Module in 
jeder beliebigen Kombination alleine oder in ihrer Gesamt- 
heit von der Erfindung umfaBt sind. 

Paten tanspruche 

1. Elektromechanisches Bremssystem, insbesondere 
fur Kraftfahrzeuge, mit 

einem Pedalsimulator (1) zum redundanten Erfassen 
einer Fahrerbetatigung eines Bremspedals (2) mittels 
einer geeigneten Sensorik (3), einem Zentralmodul (6) 
zum Ermitteln eines Brems sollwerts basierend auf 
Ausgangssignalen der Sensorik (3), zumindest einem 
Bremsmodul (7) zum Ansteuern von zumindest einer 
Radbremse (8, 9) basierend auf dem Bremssollwert, 
und 

einer Datenubertragungseinheit, die eine Daten verbin- 
dung zwischen dem Zentralmodul (6) und dem Brems- 
modul (7) herstellt, wobei das Zentralmodul (6) eine 
Fehlererkennungsschaltung aufweist, die einen Fehler 
bei der Ermittlung des Bremssollwerts erkennt. 

2. Bremssystem nach Anspruch 1, dadurch gekenn- 
zeichnet, daB das Zentralmodul (6) mehrere, unabhan- 
gig voneinander betriebsfahige Mikroprozessorsy- 
steme enthalt und Notlauffahigkeit besitzt. 

3. Bremssystem nach Anspruch 1 oder 2, dadurch ge- 
kennzeichnet, daB das Zentralmodul (6) zur Ermitdung 
des Bremssollwerts hohere Funktionen des Bremssy- 
stems wie beispielsweise ABS, ASR, Fahrdynamikre- 
gelungen, ICC, Bremsassistent oder Hillholder, be- 
rucksichtigt. 

4. Bremssystem nach einen oder mehreren der An- 
spriiche 1 bis 3, dadurch gekennzeichnet, daB das Zen- 
tralmodul (6) in einem Gehause (10) des Pedalsimula- 
tors (1) integriert ist. 

5. Bremssystem nach zumindest einem der vorange- 
henden Anspriiche, dadurch gekennzeichnet, daB das 
Zentralmodul (6) eine Datenkonsolidierung zur Erken- 
nung von Storungen des Pedalmoduls (1) und/oder des 
Zentralmoduls (6) durchfuhrt. 

6. Bremssystem nach zumindest einem der vorange- 
henden Anspriiche, dadurch gekennzeichnet, daB das 
Zentralmodul (6) drei redundante Rechner (11, 12, 13) 
aufweist, die den Bremssollwert basierend auf Pedal- 
funktionen ermitteln und auf zumindest zwei dieser 
redundanten Rechner (11, 13) zusatzlich die hoheren 
Funktionen des Bremssystems implementiert sind. 

7. Bremssystem nach zumindest einem der vorange- 
henden Anspriiche, dadurch gekennzeichnet, daB zu- 
mindest zwei unabhangige Energieversorgungsquellen 
(Batl, Bat2) vorgesehen sind und jede Energieversor- 
gungsquelle (Batl, Bat2) mindestens einen Rechner 
(11, 12, 13) versorgt. 
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8. Bremssystem nach zumindest einem der vorange- 
hcnden Anspruche, dadurch gekennzeichnet, daB das 
Zentralmodul (6) zum Konsolidieren und Uberwachen 
der Pedalfunktionen einen Voter/Monitor (4) aufweist 
und ein Vergleicher gebildet ist, der die Rechner (11, 5 
13), welche die hoheren Funktionen ausfuhren, iiber- 
wacht, wobei im Fehlerfall diese Funktionen abge- 
schaltet werden, was einer Fail-Silent-Funktion ent- 
spricht. 

9. Bremssystem nach zumindest einem der vorange- to 
henden Anspruche, dadurch gekennzeichnet, daB das 
Zentralmodul (6) die redundanten Ausgangssignale des 
Pedalsimulators (1) zumindest zwei getrennten MeBka- 
nalen (A/D-Wandler) zufuhrt, wobei zumindest zwei 
Rechner (von 11, 12, 13) die von den MeBkanalen 15 
(A/D-Wandler) gewandelten Daten erhalten. 

10. Bremssystem nach zumindest einem der vorange- 
henden Anspruche 8, dadurch gekennzeichnet, daB die 
Datenubertragungseinheit zwischen dem Zentralmodul 
(6) und den Radmodulen (7) ein Datenbus (5) ist. 20 

1 1 . Bremssystem nach zumindest einem der vorange- 
henden Anspruche, dadurch gekennzeichnet, daB der 
Pedalsimulator (1) zwei Pedal wegsensoren und einen 
Pedalkraftsensor aufweist. 

12. Bremssystem nach zumindest einem der vorange- 25 
henden Anspruche, dadurch gekennzeichnet, daB das 
Bremsmodul (7) eine Fehlererkennung basierend auf 
lokalen aktorspezifischen Signalen wie beispielsweise 
Aktorstrom, Aktorposition, Spannkraft durchfuhrt und 
bei einer Fehlererkennung eine entsprechende Mel- 30 
dung an das Bremssystem ausgibt, sich abschaltet und/ 
oder eine Bremssollwertanpassung durchfuhrt. 

13. Bremssystem nach zumindest einem der vorange- 
henden Anspruche 1 bis 12, dadurch gekennzeichnet, 
daB die Fehlererkennung modellgestutzt ist. 35 

14. Bremssystem nach zumindest einem der vorange- 
henden Anspruche, dadurch gekennzeichnet, daB das 
Bremsmodul (7) eine von einer Leistungselektronik ge- 
trennte Abschalteinheit (14) mit Zugriff durch das Zen- 
tralmodul (6) aufweist. 40 

15. Bremssystem nach zumindest einem der vorange- 
hcnden Anspruche, dadurch gekennzeichnet, daB das 
Zentralmodul (6) eine Abschalteinheit (14) aufweist. 

16. Bremssystem nach zumindest einem der vorange- 
henden Anspruche, dadurch gekennzeichnet, daB die 45 
Abschalteinheit (14) als Teil der Leistungselektronik in 
dem Bremsmodul (7), auf das das Zentralmodul (6) ei- 
nen Zugriff besitzt, ausgebildet ist. 

17. Verfahren zur Steuerung eines elektrornechani- 
schen Bremssy stems, insbesondere fur Kraftfahrzeuge, 50 
mit den Schritten: 

redundantes Erfassen einer Fahrerbetatigung eines 
Bremspedals (2) mittels einer geeigneten Sensorik (3) 
in einem Pedalsimulator (1), 

Ermitteln eines Bremssollwerts basierend auf Aus- 55 
gangssignalen der Sensorik (3) in einem Zentralmodul 

(6) , 

Ansteuern von zumindest einer Radbremse (8, 9) ba- 
sieren- auf dem Bremssollwert in einem Bremsmodul 

(7) , und 60 
Herstellen einer Datenverbindung zwischen dem Zen- 
tralmodul (6) und dem Bremsmodul (7), wobei eine 
Fehlererkennungsschaltung einen Fehler bei der Er- 
mittlung des Bremssollwerts erkennt. 
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